Prêt pour la nouvelle loi suisse sur la protection des données ?

D’une part, la nouvelle loi était largement attendue dans le monde des affaires. D’autre part, la révision était nécessaire pour suivre l’évolution technologique. En outre, les nouvelles dispositions garantissent la compatibilité avec le droit européen et sont importantes pour que l’UE continue de reconnaître la Suisse comme un État disposant d’un niveau adéquat de protection des données. L’échange transfrontalier de données pourra ainsi se poursuivre à l’avenir sans restrictions ni exigences supplémentaires.  

Le Conseil fédéral a décidé en août 2022 que la nouvelle loi entrerait en vigueur le 1er septembre 2023 et serait applicable à partir de cette date. Avec la période de transition d’un an jusqu’au 1er septembre, les entreprises disposent d’un temps suffisant afin de prendre les dispositions nécessaires à la mise en œuvre.   

Dans la nLPD, les sanctions existantes seront élargies et l’amende maximale pour les infractions passera de CHF 10 000 à CHF 250 000. Toutefois, tant la poursuite et l’évaluation restent du ressort des cantons. Les sanctions continueront à toucher les personnes physiques, mais en cas de violation des dispositions sur la protection des données qui ne concernent que les entreprises, ce ne sont précisément pas les simples employés mais la direction qui sera tenue pour responsable. Cela signifie qu’en principe, les membres d’un organe exécutif, la direction et les personnes qui sont effectivement en charge sont les premiers responsables.  

Avec la nLPD, une analyse d’impact sur la protection des données doit être réalisée chaque fois qu’un traitement de données est prévu et qu’il est susceptible d’entraîner un risque élevé pour les droits des personnes concernées. C’est le cas, par exemple, si le traitement étendu de données personnelles nécessitant une protection spéciale (par exemple, des données sur la santé) est prévu. L’analyse d’impact sur la protection des données doit décrire le traitement prévu, évaluer les risques et identifier les mesures de protection des personnes. Si le résultat est que le risque reste élevé, un avis doit être obtenu auprès du PFPDT.